nicht angemeldet
Hallo,
und es im Falle extremer Paranoia wesentlich geeignetere Wege gibt, ein Zertifikat zu überprüfen.
Es gibt keine. Irgendwo fängt das "Vertrauen" an. Es gibt für den Zweck keine Möglichkeit, das ohne "Vertrauensvorschuß" zu machen.
Das mag sein. Aber in vielen Fällen in denen die Verbindung sicher sein muss, gibt es eine andere Möglichkeit mit dem Anbieter in Kontakt zu treten. Dann schnappt man sich halt das Telefon und fragt den anderen freundlich nach dem Fingerprint. (Mehr Wege sind denkbar. Die c't veröffentlicht den Fingerprint ihres CA-Schlüssels zum Beispiel in jeder Ausgabe. Wenn man mehrere verschiedene Ausgaben hat (natürlich bei verschiedenen Händlern gekauft ;) und die Abdrücke alle übereinstimmen, ist die Wahrscheinlichkeit, dass einem ein falscher Schlüssel untergejubelt wird, sehr, sehr gering.)
Das funktioniert so nicht, das ist eine Milchmädchenrechnung.
Das ursprünglich vorrausgesetzte ist ein Vertrauensvorschuß. Du setzt nämlich vorraus, das es mehr Wahrheitsliebende als Lügner gibt.
Die Wahrscheinlichkeit ist 1/2, da ändert sich nichts, auch wenn Du noch soviele Beteiligte dazu heranziehst. Wenn Du nicht vorraussetzen kannst, das es eben mehr Wahrheitsliebende als Lügner gibt, kommst Du so auf keinen grünen Zweig.
Ja, das macht Kopfschmerzen.
Mir vor allem, da sich auf das in meinem letztem Posting angesprochene byzantinische Voting bezogen eine ganzes System wie ein Kartenhaus zusammenfallen läßt. Ein System, das bereits verkauft und in Produktion ist.
Das einzige Glück, das ich dabei habe, ist, das ich damit finanziell und verantwortlich nichts zu tun habe. Ich sollte nur die Mathematik machen. Und jetzt steh ich da und weiß nicht, wie ich ihm das beibringen soll.
Aber auch Mathematik läßt sich ja zurechtbiegen, gelle? ;-)
Zweites Problem: wie stellst Du sicher, das der Fingerprint auch korrekt ist? Wieder mit einem Zertifikat? Dafür dann wieder eine Fingerprint? Ad infinitum?
Ich sagte doch: Wenn sie ihr Passwort und die Benutzerkennung erhalten, kriegen sie ausserdem einen Zettel mit dem Fingerprint. Je nach Anwendung müssen die Anwender eh geschult werden. (Das kann jetzt nur Kati klären, indem sie mehr über ihre Anwendung verrät.)
Ja, das basiert dann wieder auf Vertrauensvorschuß, ist also eigentlich unnötig.
Aber wir sollten die Diskussion hier mal sein lassen (privat gerne weiter, falls Interesse an Details besteht), das könnte nur eine Panik verursachen ;-)
In praxo funktioniert es zumindest, das ist ja die Hauptsache.
so short
Christoph Zurnieden